Trojan.Siggen9.9647

Техническая информация

Вредоносные функции

Изменяет следующие настройки браузера Windows Internet Explorer

[<HKCU>\Software\Microsoft\windows\CurrentVersion\Internet Settings] 'ProxyEnable' = '00000001'
[<HKCU>\Software\Microsoft\windows\CurrentVersion\Internet Settings] 'ProxyServer' = 'http=127.0.0.1:49173;https=127.0.0.1:49173;socks=127.0.0.1:49172'
[<HKCU>\Software\Microsoft\windows\CurrentVersion\Internet Settings] 'ProxyOverride' = '<local>'

Изменения в файловой системе

Создает следующие файлы

%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\caasbycl\main[1]
%APPDATA%\psiphon3\psiphon3.exe.upgrade.152.part
%APPDATA%\psiphon3\psiphon3.exe.upgrade.152.part.etag
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\index.dat
%APPDATA%\microsoft\windows\cookies\low\index.dat
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\lnbdylc9\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\nr32m3kb\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\v890u3ic\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\xqpeptxq\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini
%WINDIR%\serviceprofiles\networkservice\appdata\locallow\microsoft\cryptneturlcache\metadata\f0accf77cdcbff39f6191887f6d2d357
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\0u8lpyu9\logo[1]
%APPDATA%\psiphon3\psiphon.boltdb
%TEMP%\psiphon-tunnel-core.exe
%APPDATA%\psiphon3\server_list.dat
%APPDATA%\psiphon3\psiphon.config
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\re1n75kr\flag_unknown_32[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\bzjx5bke\banner[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\caasbycl\flags32[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\0u8lpyu9\logo-bw[1]
%TEMP%\dat7dec.tmp
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\re1n75kr\icomoon[1]
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
%WINDIR%\serviceprofiles\networkservice\appdata\locallow\microsoft\cryptneturlcache\content\f0accf77cdcbff39f6191887f6d2d357

Присваивает атрибут 'скрытый' для следующих файлов

%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\xqpeptxq\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\v890u3ic\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\nr32m3kb\desktop.ini
%LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\lnbdylc9\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
%LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini

Удаляет следующие файлы

%APPDATA%\psiphon3\psiphon3.exe.upgrade.152.part.etag

Перемещает следующие файлы

%APPDATA%\psiphon3\psiphon3.exe.upgrade.152.part в %APPDATA%\psiphon3\psiphon3.exe.upgrade.152
%APPDATA%\psiphon3\psiphon3.exe.upgrade.152 в %APPDATA%\psiphon3\psiphon3.exe.upgrade

Подменяет следующие исполняемые файлы

<Полный путь к файлу>

Самоперемещается

из <Полный путь к файлу> в <Полный путь к файлу>.orig

Сетевая активность

TCP

Запросы HTTP GET

http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab

Запросы HTTP POST

http://www.ta#####awgraymodel.com/

'a1###.na.akamai.net':443

'79.##2.66.249':22

'10#.#6.74.71':443

'a4##.#.akamai.net':443

'a1###.q.akamai.net':443

'localhost':49186

'localhost':49173

'localhost':49187

'localhost':49188

UDP

DNS ASK a1###.na.akamai.net
DNS ASK a1###.q.akamai.net
DNS ASK a4##.#.akamai.net

Другое

Ищет следующие окна

ClassName: 'Internet Explorer_Server' WindowName: ''
ClassName: 'MS_AutodialMonitor' WindowName: ''
ClassName: 'MS_WebCheckMonitor' WindowName: ''
ClassName: 'Static' WindowName: ''

Создает и запускает на исполнение

'%TEMP%\psiphon-tunnel-core.exe' --config "%APPDATA%\Psiphon3\psiphon.config" --serverList "%APPDATA%\Psiphon3\server_list.dat"

Запускает на исполнение

'%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\syswow64\WININET.dll",DispatchAPICall 1
'%ProgramFiles(x86)%\internet explorer\iexplore.exe' https://ipfounder.net/?sponsor_id=1BC527D3D09985CF&sponsor=psiphon&client_region=NL&client_platform=windows&secret=580EfjEI29xL3hoyU6dgP4vSEVxdcGI7JDFkxgjds7PHulSEF0wmORpvzbqxyTwYtpowsY4xMFnfWE...